Swiss Room · Einordnung
Cookie Consent & Banner
Was sich am Banner-Recht voraussichtlich ändert
Was dieser Artikel Ihnen zeigt
Cookie-Banner und Consent-Management verständlich erklärt – was KMU wissen müssen.
Was sich voraussichtlich 2026/2027 ändern wird
Was sich durch den Digital Omnibus voraussichtlich ändert
Bisher regelten ePrivacy-Richtlinie und GDPR das Cookie-Thema gemeinsam, aber getrennt. Die Kommission schlägt vor, die Cookie-Regeln vollständig in die GDPR (neue Art. 88a, 88b) zu integrieren. Wenn der Vorschlag in der heutigen Form Recht würde, ergäbe sich ein einheitlicheres Regelwerk mit höherer Präzision.
| Vorschlag | Was die Kommission vorschlägt |
|---|---|
| Cookie-Integration | Cookie-Regeln sollen Teil der GDPR werden (Art. 88a, 88b). |
| 6-Monats-Sperre | Nach Ablehnung soll 6 Monate lang keine erneute Einwilligungsanfrage erfolgen dürfen. |
| One-Click-Reject | Ablehnung soll mit einem Klick möglich sein — keine versteckten Buttons mehr. |
| Browser-Level-Signale | Aggregierte Messung ohne Einwilligung soll erlaubt werden, wenn nicht zur Profilbildung. |
| Standardisierung | EU-Vorgaben für Bannerlayouts sollen einheitliche Strukturen schaffen. |
| Transparenz | Speicherdauer, Drittanbieter, Datenübermittlungen sollen explizit ausgewiesen werden. |
1. Neue Pflichtangaben im Banner
Folgende Informationen müssen im Cookie-Banner bzw. in der verlinkten Datenschutzerklärung explizit und klar ausgewiesen werden:
Speicherdauer: Wie lange werden Cookies und Tracking-Daten gespeichert?
Drittanbieter: Welche Drittanbieter erhalten Daten? Namentlich, nicht pauschal.
Datenübermittlungen: In welche Länder werden Daten übertragen? Rechtsgrundlage?
Zweckkategorien: Was genau passiert mit den Daten? Werbung, Analyse, Personalisierung klar trennen.
Technisch notwendige Cookies: Klar und nachvollziehbar von optionalen Cookies abgrenzen.
2. Auswirkungen auf KMU
Praktisch bedeuten die Änderungen für den Websitebetrieb:
Alle Consent Management Platform (CMP)-Tools müssen aktualisiert werden
Bannerlayout wird durch EU-Vorgaben eingeschränkt – manipulative Dark Patterns werden verboten
Datenschutztexte müssen neu strukturiert werden
Mehr Fokus auf Server-Side Tracking und cookielose Analytics
6-Monats-Sperre nach Ablehnung erfordert CMP-Anpassung
3. Was KMU konkret tun müssen
| Cookie-Inventar | Alle eingesetzten Cookies und Tracking-Tools erfassen. Welche sind technisch notwendig, welche optional? |
|---|---|
| Tracking reduzieren | Nicht benötigte Drittanbieter-Scripts entfernen. Jeder Drittanbieter erhöht die Compliance-Last. |
| Banner aktualisieren | CMP auf 6-Monats-Sperre und neue Pflichtfelder konfigurieren. EU-Standardlayout implementieren. |
| Datenschutzerklärung | Speicherdauern, Drittanbieter und Zwecke explizit ausweisen. |
| Jährliche Überprüfung | Cookie-Inventar und Banner jährlich auf Aktualität prüfen. |
Checkliste
Cookie-Inventar erstellt und dokumentiert
Nicht notwendige Tracking-Scripts entfernt
CMP auf 6-Monats-Sperre konfiguriert
Neue Pflichtangaben im Banner eingebaut
Datenschutzerklärung auf neue Anforderungen aktualisiert
Jährliche Überprüfung im Governance-Kalender eingetragen
Was bedeutet das für KMU — drei Buckets
- Cookie-Banner muss aktive Einwilligung einholen (Art. 6 Abs. 1 lit. a GDPR + ePrivacy-Richtlinie).
- Speicherdauer, Drittanbieter und Zwecke transparent ausweisen.
- Cookie-Inventar erstellen und dokumentieren.
- Nicht notwendige Tracking-Scripts evaluieren und ggf. entfernen.
- CMP-Refactoring für One-Click-Reject und 6-Monats-Sperre konzeptionell planen — implementieren erst nach Trilog-Abschluss.
- Browser-Level-Signal-Unterstützung (Global Privacy Control u.ä.) als Architektur-Option offenhalten.
- Cookielose Analytics (Plausible, Fathom, Server-Side) als Migrationspfad evaluieren.
- Keine vollständige Banner-Neukonfiguration auf Basis des Kommissions-Vorschlags — der Trilog ist offen, Vorgaben könnten sich substantiell ändern.
- Verlass auf "Whitelist für aggregierte Statistik ohne Einwilligung" — der Vorschlag wird im Trilog noch verhandelt.
- Verlass darauf, dass die ePrivacy-Verordnung wiederbelebt wird — sie wurde am 11. Februar 2026 zurückgezogen.
Dieser Leitfaden ersetzt keine Rechtsberatung.